前項で書いた
「php2shell」(CVE-2026-109618、CVE-2026-109619)
への恒久的対応として、PPA提供の php8.3(バージョン 8.3.35)から、Ubuntu公式の修正版(8.3.6-0ubuntu0.24.04.13)へとロールバック・パッチ適用したときの作業メモです。
概要
Ubuntu 24.04 LTS(noble)環境において、php2shell 脆弱性への対応として Ubuntu 公式セキュリティリポジトリの PHP 修正版を適用しようとしたところ、サードパーティリポジトリのパッケージが優先され、通常のパッケージ更新では修正版へ切り替わらない事象が発生しました。
原因調査の結果、ppa:ondrej/php の PHP パッケージ(8.3.35)がインストール済みかつ更新候補として選択されていることを確認しました。APTの仕様上、バージョン番号が大きいPPA版が優先されていたため、PPAをパージして Ubuntu 公式パッケージへロールバックすることでパッチ適用を完了させました。
本記事では、発生した問題、原因調査、ロールバック手順、パッチ適用確認および復旧手順を記録します。
環境
- OS:Ubuntu 24.04 LTS(noble)
- 対象パッケージ:PHP 8.3
- サードパーティリポジトリ:
ppa:ondrej/php - ロールバック先:Ubuntu 公式セキュリティリポジトリ(noble-security)
- PHP-FPM:
php8.3-fpm - Webサーバー:Apache
- 発生日時:2026年10月22日 02:54 JST
- 関連事象:PHPパッケージ更新時にPPA側で503エラーが発生。PHP更新後にPHP-FPMおよびWebサイトの動作を検証。
さっくりとした手順
- PHPの脆弱性対応パッケージが更新されない事象を確認します。
- 一時的に Ubuntu 公式セキュリティリポジトリを直接参照する設定を追加して検証します。
apt-cache policyで PHP のインストール済みバージョンと候補バージョンを確認します。ppa:ondrej/phpのパッケージ(8.3.35)が更新を妨げていることを特定します。ppa-purgeを導入し、PHP PPAをパージして公式パッケージへロールバックします。- PHPのバージョンと関連パッケージを確認します。
- changelog から該当の CVE 修正パッチが含まれていることを確認します。
- PHP-FPMとWebサーバーを再起動します。
- PHP-FPMのソケット、拡張モジュール、Webサイトの応答を確認します。
- 一時的なAPT設定を整理し、必要に応じてPPAを再登録します。
特記事項
筆者の好みでaptitudeを用いています。必要に応じてaptに切り替えてください。
1. 発生した問題と初期事象
1.1. 脆弱性パッチが適用されない
php2shell 脆弱性への対応として、Ubuntu 公式セキュリティリポジトリ(noble-security)で配信される修正版パッケージを適用しようとしました。
しかし、以下のコマンドを実行しても、期待した PHP の更新が行われませんでした。
sudo aptitude update
sudo aptitude upgrade
一時的に security.ubuntu.com を直接参照する設定を追加して検証しましたが、更新対象として認識されない状態が続きました。
1.2. PPA側の応答遅延と503エラー
パッケージ更新を試みた際、ppa:ondrej/php 側の応答が一時的に滞り、リポジトリへのアクセスで 503 Service Unavailable が発生しました。
※この事象は、運用中のWebサイトで発生したエラーではなく、PHPパッケージの取得元である外部PPAサーバー側の応答遅延に関するものです。
PPA側の修正パッケージ配信を待たずに即時保護を図るため、Ubuntu公式セキュリティリポジトリの修正版へ切り替えるべく、PPAのパージによるロールバックを実施しました。
※これは緊急的な安全確保のための対処です。記事の後半に再び ppa:ondrej/php に戻す手順も記載しています※
2. 原因調査:APTの候補バージョンを確認
2.1. apt-cache policyを実行
apt-cache policy php8.3
実際の出力結果:
php8.3:
インストールされているバージョン: 8.3.35-1+ubuntu24.04.1+deb.sury.org+1
候補: 8.3.35-1+ubuntu24.04.1+deb.sury.org+1
バージョンテーブル:
*** 8.3.35-1+ubuntu24.04.1+deb.sury.org+1 500
500 [https://ppa.launchpadcontent.net/ondrej/php/ubuntu](https://ppa.launchpadcontent.net/ondrej/php/ubuntu) noble/main amd64 Packages
100 /var/lib/dpkg/status
8.3.6-0ubuntu0.24.04.13 500
500 [http://security.ubuntu.com/ubuntu](http://security.ubuntu.com/ubuntu) noble-security/main amd64 Packages
500 [http://archive.ubuntu.com/ubuntu](http://archive.ubuntu.com/ubuntu) noble-updates/main amd64 Packages
8.3.6-0ubuntu0.24.04.12 500
500 [http://security.ubuntu.com/ubuntu](http://security.ubuntu.com/ubuntu) noble-security/main amd64 Packages
500 [http://archive.ubuntu.com/ubuntu](http://archive.ubuntu.com/ubuntu) noble-updates/main amd64 Packages
8.3.6-0maysync1 500
500 [http://archive.ubuntu.com/ubuntu](http://archive.ubuntu.com/ubuntu) noble/main amd64 Packages
2.2. 原因を特定
実測結果から、以下の状態を確認しました。
- インストール済みバージョン:
8.3.35-1+ubuntu24.04.1+deb.sury.org+1 - APTの候補バージョン:同じく
8.3.35-1+ubuntu24.04.1+deb.sury.org+1 - Ubuntu公式セキュリティ版:
8.3.6-0ubuntu0.24.04.13 - PPA版と公式版のAPT優先度:いずれも
500
PPA版と公式版のAPT優先度は同じ(500)ですが、バージョン番号の比較(8.3.35 > 8.3.6)により、APTはPPA版を「より新しい最新版」と判定し、候補として固定していました。
その結果、Ubuntu公式セキュリティリポジトリに修正版が存在していても、APTからは「古いバージョンへのダウングレード」とみなされ、通常の更新では公式版への切り替えが行われない状態になっていました。
3. PPAのパージと公式パッケージへのロールバック
3.1. ppa-purgeをインストール
sudo aptitude install -y ppa-purge
3.2. PHP PPAをパージ
sudo ppa-purge ppa:ondrej/php
PPAを無効化し、関連パッケージを一括でUbuntu公式リポジトリのバージョン(8.3.6系列)へロールバックします。
※途中でパッケージの置き換えに関する確認([Y/n])が表示されたら、Y を入力して続行します。
3.3. 公式パッケージのインストール・整合性確保
ppa-purge の依存関係解決によって本体や FPM が外れてしまうケースを防ぐため、公式リポジトリから必要な主要パッケージが揃っていることを確実にします。
sudo aptitude install -y php8.3 php8.3-cli php8.3-fpm
→ ただし、実際に必要な PHP 拡張モジュールも別途確認してください。
php -v
実行結果:
PHP 8.3.6 (cli) (built: Oct 19 2026 15:16:58) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.3.6, Copyright (c) Zend Technologies
with Zend OPcache v8.3.6, Copyright (c), by Zend Technologies
3.4. PHP関連パッケージの状態を確認
dpkg -l | grep php8.3
PHP本体、PHP-FPM、必要な拡張モジュールがすべて 8.3.6-0ubuntu0.24.04.13 に揃っていることを確認します。
3.5. 脆弱性に対応したパッチであることを確認
外部サーバーへの通信を行わず、ローカルに解凍された変更履歴から該当の CVE 修正を確認します。
zcat /usr/share/doc/php8.3-common/changelog.Debian.gz | grep -C 10 "CVE-2026-109618"
確認結果:
php8.3 (8.3.6-0ubuntu0.24.04.13) noble-security; urgency=medium
* SECURITY UPDATE: Remote RCE via state corruption issue
- debian/patches/CVE-2026-109618_109619.patch: Avoid state corruption via
bailout in Zend/tests/bug40770.phpt, Zend/tests/bug54268.phpt,
Zend/tests/bug76846.phpt,
...
tests/basic/oom_rfc1867_upload_progress.phpt,
tests/output/oom_in_internal_output_handler.phpt.
- CVE-2026-109618
- CVE-2026-109619
-- Marc Deslauriers <marc.deslauriers@ubuntu.com> Mon, 19 Oct 2026 11:16:58 -0400
パッチ(CVE-2026-109618_109619.patch)が確実に組み込まれていることを確認できました。
4. PHP-FPMとWebサーバーの復旧
4.1. PHP-FPMを再起動
sudo systemctl restart php8.3-fpm
4.2. PHP-FPMの稼働状態を確認
sudo systemctl status php8.3-fpm --no-pager
Active: active (running) となっていることを確認します。
4.3. Apacheを再起動
sudo systemctl restart apache2
Apacheが正常に稼働していることを確認します。
5. 動作検証
5.1. PHP-FPMのソケットを確認
ls -la /run/php/php8.3-fpm.sock
ソケットファイルが存在し、WebサーバーとPHP-FPM間の通信路が正常であることを確認します。
5.2. PHPの拡張モジュールを確認
php -m
アプリケーションで必要な拡張モジュールがロードされていることを確認します(mbstring, mysqli, xml, curl 等)。
※PPA削除時に外れたモジュールがある場合は、公式リポジトリから個別に追加します。
sudo aptitude install php8.3-<module_name>
5.3. Webサイトへのアクセスを確認
curl -I [https://example.com/](https://example.com/)
HTTPレスポンスを確認し、503 Service Unavailable や 502 Bad Gateway が発生せず正常(200 OK など)に応答することを確認します。ブラウザからも主要機能の動作を検証します。
6. PPAの再有効化
6.1. PPAを継続利用する場合の再登録
将来的にPPA側の修正パッケージが配信され、PPA環境へ復帰させる場合は以下の手順で再有効化します。
sudo add-apt-repository ppa:ondrej/php
sudo aptitude update
6.2. 再登録後の候補バージョン確認
apt-cache policy php8.3
PPA側で修正版(CVE対応済みビルド)が提供されていることを確認した上でアップグレードを実施します。
apt list --upgradable 2>/dev/null | grep php8.3
sudo aptitude upgrade
まとめ
今回の事象は、Ubuntu公式セキュリティリポジトリにパッチが配信されていたにもかかわらず、ppa:ondrej/php のパッケージ(8.3.35)がバージョン数値の優先度によってAPTの更新候補を占有していたことが原因でした。
apt-cache policy で優先度と候補を正確に把握し、緊急度に応じて ppa-purge による公式版への一時ロールバックを選択したことで、即座に脆弱性を塞ぎつつサービスの正常稼働を維持することができました。
















